💬 NLP

The Decomposition Is the Fingerprint: Per-Component Identity for Agent Skills

이 논문은 행동 기반 안전 검증의 필요성을 대체하지 않으면서도, 패러프레이징이나 리팩토링을 통한 기술의 계보 및 구조적 관계를 식별하는 동시에 독립적인 재구현을 구별할 수 있도록 멀티 뱅크 심해시(SimHash)를 사용하여 고정 크기의 시그니처를 생성하는, AI 에이전트 기술을 위한 소형화된 국소 민감형 컴포넌트별 지문 생성 방법을 소개한다.

원저자: Hongliang Liu, Yuhao Wu, Tung-Ling Li

게시일 2026-07-01

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Hongliang Liu, Yuhao Wu, Tung-Ling Li

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신은 AI 에이전트를 위한 거대한 "기술(skills)" 라이브러리를 관리하는 매니저라고 상상해 보십시오. 이것들은 단순한 책이 아닙니다. 지침(프롬프트), 코드, 그리고 다른 도구들과의 연결을 담고 있는 디지털 툴킷입니다. 더 많은 사람들이 기술을 만들어낼수록 라이브러리는 엉망이 됩니다. 동일한 기술이 복제되거나, 이름이 바뀌거나, 다른 스타일로 다시 쓰이거나, 심지어 다른 프로그래밍 언어로 번역될 수도 있기 때문입니다.

핵심적인 문제는 이것입니다: 겉모습이 다르더라도 두 기술이 실제로 같은 것인지 어떻게 알 수 있을까요?

기존 방식: 깨지기 쉬운 "지문"

전통적으로 두 파일이 동일한지 확인하기 위해 우리는 암호화 해시(디지털 지문과 같은 것)를 사용합니다. 하지만 이 방법은 너무 민감합니다. 이는 마치 사람의 얼굴 사진을 찍었는데, 머리카락을 1인치만 옮기거나 안경을 써도 완전히 다른 사람처럼 보이는 것과 같습니다. 디지털 세계에서는 프롬프트에서 글자 하나만 바꾸거나 코드의 함수 이름을 바꾸는 것만으로도 "지문"이 완전히 새롭게 변해버립니다. 이는 약간 수정된 중복물을 찾아내는 데 아무런 도움이 되지 않습니다.

새로운 방식: "구성 요소별" 지문

저자들은 스마트하고 모듈형인 새로운 종류의 지문을 제안합니다. 이 방식은 기술을 하나의 커다란 덩어리로 보는 대신, 세 가지 뚜렷한 부분으로 분해합니다:

프롬프트: 자연어 지침.
코드: 실제 로직과 함수.
도구: API 또는 외부 도구 목록.

이 시스템이 어떻게 작동하는지 간단한 비유를 통해 설명하겠습니다.

1. "번역기" (임베딩)

먼저, 시스템은 매우 똑똑한 번역기처럼 작동합니다. 프롬프트, 코드, 또는 도구를 읽고 이를 "의미 벡터"로 변로합니다.

비유: 영어 문장과 똑같은 의미의 프랑스어 문장이 있다고 가정해 봅시다. 일반적인 스캐너는 이를 완전히 다른 글자들의 나열로 보지만, 이 "번역기"는 그것들이 같은 의미임을 이해하고 동일한 "개념 ID(concept ID)"를 부여합니다. 코드로도 마찬가지입니다. calculate_sum과 add_numbers가 동일한 작업을 수행한다는 것을 이해합니다.

2. "압축기" (Multi-Bank SimHash)

"개념 ID"는 여전히 너무 커서 수백만 개의 기술을 저장하기에 용이하지 않습니다. 그래서 시스템은 이를 아주 작은 고정 크기의 디지털 서명(단 120바이트, 즉 320비트)으로 압축합니다.

비유: 이것은 고해상도 사진을 찍은 뒤 아주 작은 320픽셀짜리 아이콘으로 줄이는 것과 같습니다. 비록 아주 작아졌지만, 두 아이콘을 비교하면 여전히 동일 인물인지 알 수 있습니다. 결정적으로, 만약 그 사람이 옷을 갈아입더라도(사소한 편집), 아이콘은 여전히 알아볼 수 있는 형태를 유지합니다.

3. "세 부분으로 된 신분증" (Triple)

이것이 이 논문의 가장 중요한 혁신입니다. 이 시스템은 세 부분(프롬프트, 코드, 도구)을 하나의 점수로 합치지 않고, 세 개의 별도 숫자로 유지하여 신분증에 기록합니다.

비례: 이것은 사람의 얼굴, ID 번호, 직함이라는 세 개의 별도 사진이 있는 보안 배지와 같습니다.
- 만약 누군가 직함을 바꿨지만 얼굴과 ID 번호는 그대로라면, 우리는 그 사람이 역할만 바꾼 동일 인물임을 알 수 있습니다.
- 만약 누군가 얼굴(코드를 재작성)을 바꿨지만 직함(프롬프트)은 그대로라면, 우리는 동일한 목적을 수행하는 다른 사람임을 알 수 있습니다.
- 만약 세 부분 모두 일치한다면, 그것은 완벽한 복제본입니다.

이것이 해결하는 문제

이 세 부분을 분리함으로써, 시스템은 단순한 "예/아니오" 식의 해시가 답할 수 없는 복잡한 질문에 답할 수 있습니다:

클로닝(Cloning): "이것이 저 기술의 복사본인가?" (세 부분 모두 일치함).
재용도 변경(Repurposing): "이 코드가 다른 목적으로 사용되고 있는가?" (코드는 일치하지만 프롬프트가 다름).
재구현(Reimplementation): "동일한 아이디어가 완전히 다른 방식으로 작성되었는가?" (프롬프트는 일치하지만 코드가 다름).
변조(Tampering): "누군가 신뢰할 수 있는 기술에 바이러스를 몰래 넣었는가?" (시스템이 신뢰할 수 있는 기술의 "얼굴"과 "직함"은 일치하지만, "ID 번호"(코드)가 미세하게 변한 것을 감지하여 이를 수정된 복사본으로 표시함).

"안전" 주의사항

이 논문은 한 가지를 명확히 구분합니다: 이 시스템은 기술이 '무엇'인지 식별하는 것이지, 그것이 '안전한지'를 판별하는 것이 아닙니다.

비유: 이 시스템은 자동차를 "2020년형 토요타 캠리"라고 인식하는 경찰 데이터베이스와 같습니다. 이 시스템은 "이 차는 알려진 모델의 변형된 버전이며, 엔진이 교체되었습니다"라고 말할 수 있습니다.
하지만 이 시스템은 그 차가 난폭하게 운전하고 있는지, 혹은 새로 교체된 엔진이 위험한지는 알 수 없습니다. 그러한 판단에는 다른 종류의 행동 검증이 필요합니다.
저자들은 많은 악성 기술들이 안전한 기술을 "변조된 복사본" 형태로 사용한다는 것을 발견했습니다. 이 시스템은 그것들을 "수정된 복사본"으로 잡아내지만, 그 수정이 위험한지 여부는 인간이나 다른 안전 도구가 결정해야 합니다.

이것이 중요한 이유

이 방식은 AI 기술을 위한 "레지스트리(Registry)"를 구축합니다. 이를 통해 플랫폼은 다음을 수행할 수 있습니다:

중복 방지: 겉모습은 다르지만 동일한 기술을 찾아냅니다.
계보 추적: 기술이 어디에서 왔으며 어떻게 변했는지 파악합니다.
변조 탐지: 신뢰할 수 있는 기술이 조용히 수정되는 것을 포착합니다.
공간 절약: 새로운 지문은 원본 데이터보다 77배 작아서, 수백만 개의 기술을 즉각적으로 빠르게 검색할 수 있습니다.

요약하자면, 이 논문은 AI 기술의 혼돈을 관리하기 위해서는 단순히 글자의 일치 여부를 훑는 스캐너가 아니라, 의미와 구조를 이해하는 지문이 필요하다고 주장합니다. 그리고 그 구성 요소를 분리함으로써, 기술들이 서로 어떻게 연관되어 있는지 훨씬 더 명확한 그림을 얻을 수 있습니다.

기술 요약: 에이전트 스킬을 위한 컴포넌트별 식별자 (Per-Component Identity for Agent Skills)

1. 문제 정의

대규모 언어 모델(LLM) 에이전트가 런타임 시 마켓플레이스나 다른 에이전트로부터 가져온 프롬프트, 실행 가능한 코드, 도구 선언의 번들인 '스킬'을 점진적으로 습득하고 실행함에 따라, 플랫폼은 **식별(identity)**이라는 중대한 거버넌스 과제에 직면해 있습니다. 두 스킬이 동일한지 판단하는 현재의 방식들은 에이전트 생태계의 특정 요구사항을 충족하지 못합니다:

암호화 해싱 (Cryptographic Hashing): 재작성 불변성(rewrite-invariant)이 결여되어 있습니다. 단 한 글자의 수정(패러프레이징, 이름 변경, 리팩토링)만으로도 다이제스트가 완전히 바뀌어 유사성을 파괴합니다.
퍼지 해싱 (Fuzzy Hashing, 예: ssdeep, TLSH): 바이트의 공간적 국소성(spatial byte locality)에 의존하지만, 스킬은 의미론적 재작성으로 인해 이를 갖추지 못했습니다. 이러한 방식은 재작성된 스킬에 대해 우연 수준(AUC 0.53–0.63)의 성능만을 보입니다.
원시 임베딩 (Raw Embeddings): 의미적 유사성을 포착하는 데는 정확하지만, 킬로바이트 규모의 부동 소수점 벡터를 저장해야 하므로 확장 가능한 레지스트리에 필요한 고정 크기의 비트 인덱싱 가능한 시그니처를 제공하지 못합니다.
표준 SimHash: 단일 문서 중복 제거를 위해 설계되었으며, 컴포넌트 분해 기능이 부족하여 "동일한 코드, 다른 목적"과 "동일한 목적, 다른 코드"를 구분할 수 없습니다.

핵심 문제는 **컴팩트하고 국소 민감한 지문(locality-sensitive fingerprint)**이 필요하다는 것입니다. 이 지문은 재작성 불변성을 가지며, 컴포넌트 단위로 국소화가 가능하고, 보정(calibrated)될 수 있어야 하며, 단순한 바이트 일치를 넘어 스킬 패밀리를 식별할 수 있어야 합니다.

2. 방법론

저자들은 스킬을 해싱하기 전에 구성 요소로 분해하는 컴포넌트별 국소 민감 지문(per-component, locality-sensitive fingerprint) 파이프라인(그림 1)을 제안합니다.

2.1 분해 (Decomposition)

스킬 $S$ 는 텍textual 컴포넌트로 구성된 구조적 아티팩트로 취급됩니다:

프롬프트 (Prompt): 자연어 지침.
코드 (Code): 실행 가능한 구현체.
도구 (Tools): API 또는 도구 선언.
(설정이나 예시와 같은 선택적 컴포넌트도 지원됨.)

2.2 수렴 변환 (Convergent Transformation, Embedding)

각 컴포넌트는 학습된 텍스트 인코더 $E(\cdot) \to \mathbb{R}^d$ (구체적으로 Google의 text-embedding-005, $d=768$ )를 사용하여 독립적으로 임베딩됩니다. 이 인코더는 수렴 변환 역할을 하여, (패러프레이징, 이름 변경, 리팩토링에도 불구하고) 기능적으로 동등한 컴포넌트들을 기하학적으로 근접한 벡터로 매핑합니다. 임베딩 모델은 재작성 불변성을 제공합니다.

2.3 멀티 뱅크 SimHash (Multi-Bank SimHash)

컴팩트함을 달성하기 위해, 각 768차원 임베딩은 SimHash [5]를 통해 비트로 투영됩니다.

메커니즘: 각 컴포넌트에 대해 320개의 독립적인 무작위 초평면(random hyperplanes)을 추출합니다. 임베딩과 각 초평면 사이의 내적(dot product)의 부호가 단일 비트를 결정합니다.
구조: 320비트는 5개의 64비트 워드("뱅크")로 패킹됩니다.
결과: 스킬당 고정된 120바이트 시그니처(3개 컴포넌트 × 40바이트씩)가 생성됩니다. 결정적으로, 세 가지 컴포넌트 코드는 지문 내에서 하나의 스칼라로 합쳐지지 않고 트리플(triple) 형태로 유지됩니다.

2.4 비교 (Comparison)

두 스킬은 컴포넌트별로 **해밍 거리(Hamming distance)**를 사용하여 비교됩니다.

컴포넌트 유사도: $sim = 1 - \frac{\text{popcount}(F_A \oplus F_B)}{320}$ .
비교 연산은 $O(1)$ 이며 비트 연산(XOR) 및 population count 명령어를 사용하여 매우 빠르고 효율적입니다.
애플리케이션은 특정 레지스트리 요구사항에 따라 트리플을 집계할 수 있습니다 (예: 재현율을 위한 max, 엄격한 복제를 위한 min, 또는 가중 평균).

3. 주요 기여 (Key Contributions)

컴포넌트별 분해: 핵심 기여는 지문을 단일 점수가 아닌 트리플(프롬프트, 코드, 도구)로 유지하는 것입니다. 이를 통해 시스템은 다음을 수행할 수 있습니다:
- 계보(lineage)(구조적 유사성)와 **행위적 동등성(behavioral equivalence)**을 구분합니다.
- 스킬의 어느 부분이 재사용되거나 변조되었는지(예: 동일한 코드, 다른 프롬프트 = 용도 변경; 동일한 프롬프트, 다른 코드 = 재구현)를 정확히 찾아냅니다.
- 추가 모델 없이 관계 분류(클론, 변형, 도구 교체)를 가능하게 합니다.
컴팩트하고 고충실도인 시그니처: 이 방법은 24,576비트의 임베딩을 120바이트로 압축(77배 압축)하면서도 원래 코사인 유사도의 순위를 1% AUC 이내로 보존합니다.
레지스트리 프리미티브 (Registry Primitive): 이 지문은 스킬 레지스트리의 구조적 축 역할을 하며, 중복 제거, 패밀리 클러스터링, 신규성 탐지 및 휴대 가능한 SkillBOM(Software Bill of Materials) 생성을 가능하게 합니다.
식별(Identity)과 안전(Safety)의 구분: 논문은 이 지문이 식별(계보)을 제공할 뿐, 안전을 제공하는 것은 아니라고 명시합니다. 이는 알려진 양호한 베이스의 변조된 복사본임을 식별할 수는 있지만, 그 복사본이 악의적인지는 판단할 수 없음을 의미합니다.

4. 실험 결과

저자들은 여러 코퍼스와 벤치마크를 통해 지표를 평가했습니다:

임베딩에 대한 충실도 (Fidelity to Embedding): 구성된 스킬 변형들의 4,950개 쌍 비교에서, 지표는 AUC 0.974(95% CI [0.956, 0.994])를 달성했습니다. 컴포넌트당 77배 압축 시에도 코사인 유사도를 1% 이내(0.992 vs 0.993)로 추적했습니다.
적대적 강건성 (Adversarial Robustness): 적대적 재작성(교차 언어 번역, 난독화, 전체 재작성 포함) 50개 벤치마크에서, 지표는 45/50의 재작성을 인식한 반면, 렉시컬 TF-IDF 베이스라인은 5/50만을 인식했습니다.
관계 분류 (Relationship Classification): 컴포넌트별 트리플은 동일 그룹 쌍의 62%를 클론으로, 24%를 도구 교체로 정확히 분류했으며, 그룹 간 오탐 클론율은 **0.2%**에 불-과했습니다.
변조 국소화 (Tamper Localization): 906개 스킬 주입 벤치마크에서, 지표는 악의적인 스킬의 83.7%를 양호한 스킬의 근접 클론으로 식별했습니다. 결정적으로, 변조 위치를 찾아냈습니다. 코드 컴포넌트의 유사도는 낮아진 반데(0.92–0.95) 프롬프트와 도구는 높게 유지되어, 주입 위치를 정확히 짚어냈습니다.
안전 제한 (Safety Limitation): 안전 탐지기로서 단독 사용 시, 구조적 지표는 F1 0.735를 기록했습니다(행위 검증의 0.946 대비). 이는 구조적 식별이 행위적 무결성과 별개의 차원임을 확인시켜 줍니다.

5. 의의 및 주장

논문은 식별(identity)이 스킬 레지스트리의 구조적 축이며, 행위 검증과는 구별되면서도 상호 보완적이라고 주장합니다.

동등성보다 계보 (Lineage over Equivalence): 이 지표는 "행위적 동등성"(이것이 동일한 일을 하는가?)보다는 "계보"(이것이 알려진 스킬의 복사본인가/변형인가?)를 식별한다고 주장합니다. 이 구분은 플랫폼이 안전 판정을 내리지 않고도 출처를 감사하고 변조를 탐지할 수 있게 함으로써 거버넌스에 필수적입니다.
확장성 (Scalability): 스킬을 120바이트의 비트 인덱싱 가능한 시그니처로 줄임으로써, 수백만 개의 스킬에 대해 상수 시간 비교와 효율적인 인덱싱을 가능하게 합니다. 이는 원시 임베딩으로는 불가능한 작업입니다.
구성 가능성 (Composability): 저자들은 "두 축 모델"을 제시합니다: 구조적 식별(본 연구) + 행위적 무결성(런타임 검증). 지표는 "누가/무엇을"(계보, 변조, 재사용) 담당하고, 행위 검증은 "얼마나 안전한가"(런타임 동작)를 담당합니다.
겸허함 (Modesty): 저자들은 이 지표가 충돌 저항성(collision-resistant)을 갖지 않으며(공격자가 신뢰받는 패밀리를 모방하도록 설계할 수 있음), 안전 판정이 아님을 명시합니다. 이는 암호화 해시 및 행위 검증과 함께 사용되도록 설계된 분류 및 계보 신호입니다.

요약하자면, 본 논문은 폭발적으로 증가하는 AI 에이전트 스킬을 관리하기 위한 실용적이고 수학적으로 근거 있는 솔루션을 제시하며, 유사성을 단순한 숫자가 아닌 레지스트리 관리와 출처 추적을 위한 풍부한 컴포넌트 수준의 신호로 변환합니다.